Saltar al contenido
DUPIN
ALERTAS · EN VIVO
Contacto

VULNERABILIDAD

CVE-2026-109369 Escalada de privilegios sin autorización en WP Booking System mediante el parámetro 'user_permission' y…

El plugin WP Booking System para WordPress es vulnerable a omisión de autorización en todas las versiones hasta la 2.1.0.3, porque no verifica correctamente que un usuario esté autorizado a realizar una acción. Esto permite a atacantes autenticados con acceso de nivel Subscriber o superior otorgarse a sí mismos y a otros usuarios acceso de edición a todos los formularios de reserva del sitio sobrescribiendo el metadato user_permission que gobierna la lista de control de acceso del plugin; la explotación requiere…

Alerta de Nureq Monitor

Detectada 17 OCT · 02:06

CVSS 3.1

6.8MEDIA

PROBABILIDAD DE EXPLOTACIÓN (EPSS)

0,3 % PERCENTIL 16

EXPLOTACIÓN ACTIVA

No confirmada

EXPLOIT PÚBLICO

No conocido

Qué es CVE-2026-109369

El plugin WP Booking System para WordPress es vulnerable a omisión de autorización en todas las versiones hasta la 2.1.0.3, porque no verifica correctamente que un usuario esté autorizado a realizar una acción. Esto permite a atacantes autenticados con acceso de nivel Subscriber o superior otorgarse a sí mismos y a otros usuarios acceso de edición a todos los formularios de reserva del sitio sobrescribiendo el metadato user_permission que gobierna la lista de control de acceso del plugin; la explotación requiere…

Productos y versiones afectadas

  • murgroland WP Booking System – Booking Calendar

    • hasta 2.1.0.3

Qué hacer

  1. Verificá si usás WP Booking System – Booking Calendar y en qué versión: el rango afectado figura arriba.
  2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
  3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 6.8 MEDIA

CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:N

VECTOR DE ATAQUE (AV)
Red
COMPLEJIDAD DEL ATAQUE (AC)
Alta
PRIVILEGIOS REQUERIDOS (PR)
Bajos
INTERACCIÓN DEL USUARIO (UI)
Ninguna
ALCANCE (S)
Sin cambio
CONFIDENCIALIDAD (C)
Alta
INTEGRIDAD (I)
Alta
DISPONIBILIDAD (A)
Ninguna

Abrir la calculadora completa

Descripción original

The WP Booking System – Booking Calendar plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 2.1.0.3 This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for authenticated attackers, with subscriber-level access and above, to grant themselves and arbitrary other users edit access to every booking form on the site by overwriting the user_permission meta that governs the plugin's own access-control list. Exploitation requires the attacker to have already been delegated edit rights on at least one booking form, as this delegation both downgrades the submenu capability to 'read' (making the edit page accessible) and allows them to harvest a valid wpbs_edit_form nonce that will pass validation against any other form_id.

Referencias

Historial de la alerta

  1. VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.